Ochrana osobných údajov je základným právom, ktoré chráni právo fyzických osôb pred neoprávneným zasahovaním do ich súkromného života. Súhlas so spracovaním osobných údajov je v zmysle Nariadenia GDPR jedným zo šiestich právnych základov, ktoré umožňujú spracúvanie osobných údajov dotknutých osôb. Hoci sa v praxi často vníma ako "privilegovaný" právny základ, je dôležité si uvedomiť, že všetky právne základy sú rovnocenné a pri každom účele spracúvania osobných údajov je potrebné skúmať, aký právny základ je pre daný účel najvhodnejší.
Tento článok sa zameriava na písomný súhlas so spracovaním osobných údajov, jeho formu, náležitosti a relevantnosť v kontexte Úradu práce, sociálnych vecí a rodiny (ÚPSVaR). V kontexte spracúvania osobných údajov, napríklad aj Úradom práce, sociálnych vecí a rodiny (ÚPSVaR), je dôležité vedieť, kedy je potrebný súhlas so spracúvaním a ako ho správne udeliť. Tento článok sa venuje problematike súhlasu so spracúvaním osobných údajov, jeho formám, vhodnosti jeho použitia a s tým súvisiacim povinnostiam prevádzkovateľa, teda aj ÚPSVaR.
Právny základ pre spracúvanie osobných údajov: Súhlas vs. iné možnosti
Vyhodnotenie správneho právneho základu pre spracovateľskú operáciu je kľúčové. Súhlas je len jednou z možností a nie vždy tou najvhodnejšou. Dozorné orgány, vrátane Úradu na ochranu osobných údajov SR, odporúčajú dôkladne zvážiť, či nie je možné spracúvanie osobných údajov oprieť o iný, vhodnejší právny základ. Súhlas so spracúvaním osobných údajov je jedným zo šiestich právnych základov, ktoré umožňujú spracúvanie osobných údajov dotknutých osôb podľa Nariadenia GDPR. Hoci sa v praxi prevádzkovatelia často mylne domnievajú, že súhlas je "privilegovaný" právny základ, všetky právne základy sú rovnocenné.
Pri každej spracovateľskej operácii je preto potrebné starostlivo zvážiť, ktorý právny základ je pre daný účel najvhodnejší. Uvedené vyplýva z viacerých odporúčaní dozorných orgánov, vrátane Úradu na ochranu osobných údajov SR. Súhlas nie je vhodný vo všetkých situáciách. Napríklad, zamestnávatelia by nemali vyžadovať od zamestnancov súhlas so spracovaním ich osobných údajov na účely plnenia povinností vyplývajúcich z pracovnoprávneho vzťahu, ak tieto povinnosti vyplývajú priamo z pracovnej zmluvy alebo z príslušných právnych predpisov. V takom prípade je právnym základom plnenie zmluvných, resp. zákonných povinností zamestnávateľa, a nie súhlas zamestnanca.
Príklady nesprávneho a správneho použitia súhlasu
- Príkladom nesprávneho použitia súhlasu je situácia, kedy zamestnávatelia vyžadujú od zamestnancov súhlas so spracovaním ich osobných údajov na účely plnenia povinností vyplývajúcich z pracovnoprávneho vzťahu. Ak povinnosti zamestnávateľa vyplývajú z uzatvorenej pracovnej zmluvy alebo príslušných právnych predpisov, právnym základom nie je súhlas, ale plnenie zmluvných, resp. zákonných povinností zamestnávateľa.
- Príkladom vhodného použitia súhlasu je situácia, keď základná škola plánuje zverejňovať fotografie a videá žiakov na nástenkách, webovej stránke alebo sociálnych sieťach, alebo ich prihlasovať na súťaže a olympiády a zverejňovať výsledky. Keďže tieto činnosti nepatria medzi zákonné povinnosti školy, je potrebné získať súhlas dotknutej osoby.
Náležitosti platného súhlasu
Súhlas so spracovaním osobných údajov musí spĺňať niekoľko kľúčových náležitostí, aby bol platný:
- Sloboda udelenia: Dotknutá osoba musí mať možnosť slobodne sa rozhodnúť, či súhlas udelí alebo nie. Neudelenie súhlasu pre ňu nesmie mať žiadne nevýhodné následky.
- Konkrétnosť: Súhlas musí byť udelený na konkrétny účel spracúvania, ktorý prevádzkovateľ dotknutej osobe dostatočným spôsobom oznámi. Súhlas je možné udeliť aj na viaceré účely spracúvania súčasne, avšak dotknutá osoba musí mať možnosť výberu, na ktoré účely súhlas udelí.
- Informovanosť: Dotknutá osoba musí byť informovaná o tom, komu a na aký účel udeľuje súhlas so spracovaním svojich osobných údajov. Prevádzkovateľ je povinný dotknutú osobu informovať o tom, že je oprávnená svoj súhlas kedykoľvek odvolať. Informovanosť súvisí s plnením informačnej povinnosti prevádzkovateľa v zmysle čl. 13 Nariadenia GDPR.
- Jednoznačnosť: Žiadosť o vyjadrenie súhlasu musí byť predložená jasne, zrozumiteľne a ľahko dostupnou formou, odlíšená od iných skutočností. Ak má dotknutá osoba udeliť súhlas v rámci písomného vyhlásenia, ktoré sa týka aj iných skutočností, žiadosť o vyjadrenie súhlasu musí byť predložená tak, aby bola jasne odlíšená od iných skutočností a v zrozumiteľnej a ľahko dostupnej forme.
Formy súhlasu: Písomný, elektronický, ústny a konkludentný súhlas
GDPR nestanovuje povinnú formu vyjadrenia súhlasu so spracovaním osobných údajov. Súhlas tak môže byť udelený písomne, elektronicky, ústne alebo konkludentne.
- Písomný súhlas: Je najbežnejší spôsob získania súhlasu. Je pri ňom potrebné sledovať dobu, na ktorú bol udelený.
- Elektronický súhlas: Napríklad prostredníctvom online formulára. Je rovnocenný s písomným súhlasom, ak spĺňa všetky legislatívne požiadavky.
- Ústny súhlas: Udelenie súhlasu telefonicky, kde je prevádzkovateľ schopný zachytiť prejav vôle dotknutej osoby. Nie je zakázaný, ale nesie so sebou riziká spojené s preukázaním jeho udelenia a obsahu.
- Konkludentný súhlas: Prostredníctvom jednoznačného faktického úkonu dotknutej osoby. Napríklad, nahrávanie fotografie na intranet zamestnávateľa, vstup do miestnosti, kde sa vyhotovujú fotografie (za predpokladu zreteľného označenia miestnosti), alebo vyjadrenie súhlasu gestom alebo nosením zreteľného označenia.
Aj v prípade ústneho alebo konkludentného súhlasu je prevádzkovateľ povinný zabezpečiť, aby súhlas spĺňal všetky legislatívne požiadavky (slobodný, informovaný, jednoznačný).
Získavanie súhlasu s cookies
V súvislosti so zákonom o elektronických komunikáciách je získavanie súhlasu nevyhnutné aj pre získavanie analytických, preferenčných a marketingových cookies.
Spracúvanie osobných údajov na ÚPSVaR
Úrad práce, sociálnych vecí a rodiny (ÚPSVaR) spracúva osobné údaje fyzických osôb v rôznych agendách, napríklad v evidencii uchádzačov o zamestnanie, pri poskytovaní príspevkov v rámci aktívnych opatrení na trhu práce, pri vybavovaní žiadostí o dávky a pod. V niektorých prípadoch je právnym základom spracúvania osobných údajov plnenie zákonnej povinnosti (napr. pri evidencii uchádzačov o zamestnanie), v iných prípadoch je to plnenie zmluvy (napr. pri poskytovaní príspevkov). Súhlas dotknutej osoby sa získava len vtedy, ak sa neuplatňuje iný právny dôvod na spracúvanie osobných údajov bez súhlasu.
Ak ÚPSVaR spracúva osobné údaje na základe súhlasu, dotknutá osoba má právo kedykoľvek svoj súhlas odvolať. V kontexte ÚPSVaR je potrebné zvážiť, kedy je súhlas so spracovaním osobných údajov relevantný. ÚPSVaR spracúva osobné údaje občanov najmä na základe zákonných povinností (napr. pri posudzovaní nároku na sociálne dávky, príspevky a pod.). V týchto prípadoch nie je súhlas potrebný, pretože právnym základom je plnenie zákonnej povinnosti.
Súhlas by mohol byť relevantný v situáciách, kedy ÚPSVaR spracúva osobné údaje na účely, ktoré nie sú priamo stanovené zákonom, napríklad pri organizovaní dobrovoľných programov, prieskumov spokojnosti klientov a pod. Aj v týchto prípadoch je však potrebné dôkladne zvážiť, či nie je možné spracúvanie oprieť o iný právny základ, napríklad o oprávnený záujem ÚPSVaR.
Príklady spracúvania osobných údajov na ÚPSVaR a potreba súhlasu
Pre lepšie pochopenie si ukážeme, kedy je súhlas potrebný a kedy nie v rámci činností ÚPSVaR:
- Peňažný príspevok na opatrovanie: Mnohí občania sa ocitnú v situácii, kedy sa starajú o svojich ŤZP rodinných príslušníkov a majú nárok na peňažný príspevok na opatrovanie. Otázky ohľadne tohto príspevku upravuje Zákon č. 447/2008 Z. z. V tomto prípade ÚPSVaR spracúva osobné údaje opatrovateľa a opatrovanej osoby na základe plnenia zákonnej povinnosti, a teda súhlas so spracovaním osobných údajov nie je potrebný.
- Evidencia uchádzačov o zamestnanie: ÚPSVaR spracúva osobné údaje uchádzačov o zamestnanie na základe zákona. Súhlas uchádzača o zamestnanie nie je potrebný, pretože spracúvanie je nevyhnutné na plnenie zákonnej povinnosti.
- Poskytovanie príspevkov v rámci aktívnych opatrení na trhu práce: ÚPSVaR spracúva osobné údaje žiadateľov o príspevky na základe zákona a zmluvy. Súhlas žiadateľa nie je potrebný, pretože spracúvanie je nevyhnutné na plnenie zmluvných a zákonných povinností.
- Zverejňovanie fotografií a videí z podujatí organizovaných ÚPSVaR: Ak ÚPSVaR organizuje podujatia a plánuje zverejňovať fotografie a videá účastníkov, je potrebné získať ich súhlas. Zverejňovanie fotografií a videí nie je zákonnou povinnosťou ÚPSVaR, preto je súhlas nevyhnutný.
- Zasielanie marketingových informácií: Ak ÚPSVaR plánuje zasielať marketingové informácie o svojich službách a aktivitách, je potrebné získať súhlas adresátov.
Identifikácia príjemcu alebo kategórie príjemcu: Osobné údaje získané na základe jednotlivých zákonov môžeme poskytnúť, preniesť alebo zverejniť tretím stranám, napr. iným orgánom verejnej moci alebo subjektom určeným osobitným predpisom. Získané osobné údaje sa budú spracúvať výlučne na území Slovenskej republiky a nebudú prenesené do žiadnej tretej krajiny ani medzinárodnej organizácie. Prevádzkovateľ nemá v úmysle získané osobné údaje spracúvať na žiadny iný účel než na ten, na ktorý boli získané. Identifikácia príjemcu alebo kategórie príjemcu: Získané osobné údaje budú poskytované výlučne orgánom verejnej moci na splnene povinností prevádzkovateľa. Získané osobné údaje sa budú spracúvať výlučne na území Slovenskej republiky a nebudú prenesené do žiadnej tretej krajiny ani medzinárodnej organizácie.
Doba platnosti súhlasu a jeho odvolanie
Každý účel spracúvania musí mať stanovenú dobu, počas ktorej spracúvame osobné údaje. A to v súlade so zásadou minimalizácie. Dotknutá osoba má právo svoj súhlas kedykoľvek odvolať. Odvolanie súhlasu nemá vplyv na zákonnosť spracúvania založeného na súhlase pred jeho odvolaním.
Dole podpísaná/podpísaný ...................................................................... udeľujem týmto súhlas so spracúvaním a uchovávaním mojich osobných údajov (uvedených v žiadosti o prijatie do zamestnania, v profesijnom životopise, osobnom dotazníku, prípadne osobných údajov získaných pri osobnom pohovore) prevádzkovateľovi: Centrum pedagogicko-psychologického poradenstva a prevencie, Bernolákova 1652, 955 01 Topoľčany. Poskytnuté údaje môžu byť spracované pre účely evidencie uchádzačov o zamestnanie v súlade s Nariadením GDPR. Súhlas dávam na dobu určitú, na obdobie 5 rokov. Po tomto období budú údaje vymazané, alebo môžem kedykoľvek požiadať o vymazanie údajov. Tento súhlas je možné kedykoľvek písomne odvolať. Zároveň beriem na vedomie, že práva dotknutej osoby sú upravené v čl. 12 až čl. Informácia podľa čl. 13 Nariadenia európskeho parlamentu a rady (EÚ) 2016/679 z 27. Informácia podľa čl. 13 Nariadenia európskeho parlamentu a rady (EÚ) 2016/679 z 27. 1. 2. Súhlas so spracovaním osobných údajov v zmysle čl. 6 ods. 1 písm. a) Nariadenia EP a Rady EÚ č.
Práva dotknutej osoby
Ak sa dotknutá osoba domnieva, že boli pri spracúvaní jej osobných údajov porušené jej práva, má právo podať sťažnosť na Úrad na ochranu osobných údajov SR. Okrem toho má dotknutá osoba nasledujúce práva:
- Právo odvolať súhlas: V prípadoch, kedy Vaše osobné údaje spracúvame na základe Vášho súhlasu, máte právo tento súhlas kedykoľvek odvolať. Súhlas môžete odvolať elektronicky, na adrese zodpovednej osoby, písomne, oznámením o odvolaní súhlasu alebo osobne na úrade práce, sociálnych vecí a rodiny.
- Právo na prístup: Máte právo na poskytnutie kópie osobných údajov, ktoré o Vás máme k dispozícii, ako aj na informácie o tom, ako Vaše osobné údaje používame. Vo väčšine prípadov Vám budú Vaše osobné údaje poskytnuté v písomnej listinnej forme, pokiaľ nepožadujete iný spôsob ich poskytnutia. Dotknutá osoba má právo získať od prevádzkovateľa potvrdenie o tom, či sa spracúvajú jej osobné údaje, a ak áno, má právo na prístup k týmto údajom a informácie o spôsobe ich spracúvania.
- Právo na opravu: Prijímame primerané opatrenia, aby sme zabezpečili presnosť, úplnosť a aktuálnosť informácií, ktoré o Vás máme k dispozícii. Dotknutá osoba má právo na to, aby prevádzkovateľ bez zbytočného odkladu opravil nesprávne osobné údaje, ktoré sa jej týkajú.
- Právo na výmaz (na zabudnutie): Máte právo nás požiadať o vymazanie Vašich osobných údajov, napríklad v prípade, ak osobné údaje, ktoré sme o Vás získali, už viac nie sú potrebné na naplnenie pôvodného účelu spracúvania. Vaše právo je však potrebné posúdiť z pohľadu všetkých relevantných okolností. Za určitých okolností má dotknutá osoba právo na to, aby prevádzkovateľ bez zbytočného odkladu vymazal jej osobné údaje.
- Právo na obmedzenie spracúvania: Za určitých okolností ste oprávnený nás požiadať, aby sme prestali používať Vaše osobné údaje. Za určitých okolností má dotknutá osoba právo na to, aby prevádzkovateľ obmedzil spracúvanie jej osobných údajov.
- Právo na prenosnosť údajov: Za určitých okolností máte právo požiadať nás o prenos osobných údajov, ktoré ste nám poskytli, na inú tretiu stranu podľa Vášho výberu. Dotknutá osoba má právo získať osobné údaje, ktoré sa jej týkajú a ktoré poskytla prevádzkovateľovi, v štruktúrovanom, bežne používanom a strojovo čitateľnom formáte a má právo preniesť tieto osobné údaje ďalšiemu prevádzkovateľovi.
- Právo namietať: Máte právo namietať voči spracúvaniu údajov, ktoré je založené na našich legitímnych oprávnených záujmoch. Dotknutá osoba má právo namietať spracúvanie jej osobných údajov z dôvodu týkajúceho sa jej konkrétnej situácie.
- Právo podať sťažnosť: Ak sa dotknutá osoba domnieva, že boli pri spracúvaní jej osobných údajov porušené jej práva, má právo podať sťažnosť na Úrad na ochranu osobných údajov SR.